1. Účel dokumentu
Tieto Zásady ochrany súkromia (ďalej len „Zásady“) informujú dotknuté osoby o spôsobe, rozsahu a účele spracúvania osobných údajov v rámci digitálnej rehabilitačnej platformy Rehabot (ďalej len „Služba“) v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov (ďalej len „GDPR“) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „zákon č. 18/2018 Z. z.“). Tieto Zásady sa vzťahujú na všetkých používateľov Služby — fyzioterapeutov aj pacientov.
2. Rozsah Služby
Služba pozostáva z webového rozhrania (dashboard) pre fyzioterapeutov — správa pacientov, tvorba cvičebných plánov, sledovanie pokroku, poznámky, plánovanie stretnutí — a mobilnej aplikácie pre pacientov — prístup k cvičebným plánom, domáce cvičenia, termíny stretnutí. Služba nie je poskytovateľom zdravotnej starostlivosti; je výhradne softvérovým nástrojom na podporu rehabilitačného procesu.
3. Prevádzkovateľ, sprostredkovateľ a kontakt
Prevádzkovateľom Služby (vo vzťahu k údajom fyzioterapeutov a prevádzkovým údajom) je Tomáš Solár, IČO: 57797480, sídlo: 082 61 Ražňany, Surdok 67/3, e-mail: info@rehabot.sk (ďalej len „Poskytovateľ“). Vo vzťahu k osobným údajom pacientov vystupuje Poskytovateľ ako sprostredkovateľ v zmysle čl. 28 GDPR a § 34 zákona č. 18/2018 Z. z.; prevádzkovateľom osobných údajov pacientov je príslušný fyzioterapeut. Poskytovateľ v súčasnosti nemá určenú zodpovednú osobu (DPO) v zmysle čl. 37 GDPR. Kontaktným bodom pre otázky ochrany osobných údajov je info@rehabot.sk.
4. Zdroj údajov
Osobné údaje fyzioterapeutov sú získavané priamo od fyzioterapeutov pri registrácii a používaní Služby. Osobné údaje pacientov sú do Služby zadávané prevažne fyzioterapeutom (meno, kontaktné údaje, zdravotné údaje, rodné číslo); pacient môže doplniť niektoré údaje priamo v mobilnej aplikácii. Technické a diagnostické údaje (logy, IP adresy, informácie o zariadení) sú zbierané automaticky pri používaní Služby.
5. Kategórie spracúvaných údajov
Spracúvané sú najmä: identifikačné údaje (meno, priezvisko, titul, rodné číslo pacienta), kontaktné údaje (e-mailová adresa, telefónne číslo), prihlasovacie údaje (e-mail, heslo v hashovanej podobe, autentifikačné tokeny), zdravotné a rehabilitačné údaje ako osobitná kategória (diagnóza, anamnéza, cvičebné plány, poznámky fyzioterapeuta, záznamy o pokroku, fotodokumentácia), údaje o stretnutiach (dátumy a časy plánovaných a absolvovaných stretnutí), technické údaje (IP adresa, typ a verzia prehliadača/zariadenia, operačný systém, logy prístupu, identifikátory relácie) a fakturačné údaje fyzioterapeuta (obchodné meno, IČO, DIČ, fakturačná adresa).
6. Citlivé údaje
Služba spracúva údaje týkajúce sa zdravia pacientov, ktoré patria medzi osobitné kategórie osobných údajov podľa čl. 9 GDPR a § 16 zákona č. 18/2018 Z. z. Rodné číslo pacienta je šifrované algoritmom AES-256-GCM a overované prostredníctvom jednosmerného hashu; v čitateľnej podobe nie je bežne prístupné a prístup k dešifrovanému rodnému číslu je obmedzený výhradne na oprávneného fyzioterapeuta. Rovnakým šifrovaním v pokoji (AES-256-GCM) Poskytovateľ v databáze chráni aj ostatné osobné údaje pacienta, ktoré ho identifikujú alebo vypovedajú o jeho zdraví (pozri bod 13). Rodné číslo nie je osobitnou kategóriou údajov podľa čl. 9 GDPR — jeho spracúvanie v Slovenskej republike osobitne upravuje § 78 zákona č. 18/2018 Z. z., podľa ktorého ho možno spracúvať len ak to ustanovuje osobitný zákon alebo so súhlasom dotknutej osoby; o právnom základe a rozsahu jeho spracúvania rozhoduje fyzioterapeut ako prevádzkovateľ. Uvedené šifrovanie presahuje rámec toho, čo GDPR pre rodné číslo výslovne vyžaduje, a Poskytovateľ ho uplatňuje ako vlastné, plošné technické opatrenie z dôvodu citlivosti rodného čísla ako národného identifikátora a rizika zneužitia pri krádeži identity. Spracúvanie zdravotných údajov je nevyhnutné na účely poskytovania zdravotnej starostlivosti v zmysle čl. 9 ods. 2 písm. h) GDPR a § 16 ods. 2 písm. h) zákona č. 18/2018 Z. z.
7. Právne základy spracúvania
Spracúvanie osobných údajov fyzioterapeutov je založené na plnení zmluvy (čl. 6 ods. 1 písm. b) GDPR, § 13 ods. 1 písm. b) zákona č. 18/2018 Z. z.) pri poskytovaní Služby, na oprávnenom záujme Poskytovateľa (čl. 6 ods. 1 písm. f) GDPR, § 13 ods. 1 písm. f) zákona č. 18/2018 Z. z.) pri bezpečnosti, prevencii podvodov a zlepšovaní Služby, a na plnení zákonnej povinnosti (čl. 6 ods. 1 písm. c) GDPR, § 13 ods. 1 písm. c) zákona č. 18/2018 Z. z.) pri účtovných a daňových povinnostiach. Pri osobných údajoch pacientov, kde Poskytovateľ vystupuje ako sprostredkovateľ, je právnym základom vzťah medzi fyzioterapeutom (prevádzkovateľom) a pacientom — typicky plnenie zmluvy o poskytovaní zdravotnej starostlivosti alebo výslovný súhlas pacienta, a pri zdravotných údajoch čl. 9 ods. 2 písm. h) GDPR a § 16 ods. 2 písm. h) zákona č. 18/2018 Z. z.; fyzioterapeut ako prevádzkovateľ zodpovedá za existenciu platného právneho základu.
8. Účely spracúvania
Údaje sa spracúvajú na poskytovanie a prevádzku Služby (registrácia, autentifikácia, správa účtov), umožnenie rehabilitačného procesu (cvičebné plány, sledovanie pokroku, komunikácia), technickú podporu a riešenie problémov, bezpečnosť a prevenciu zneužitia (monitorovanie, logy), plnenie zákonných povinností (účtovníctvo, dane, uchovávanie dokumentácie), zlepšovanie Služby (analýza používania, diagnostika chýb) a komunikáciu s Používateľmi (notifikácie, e-maily, pripomienky).
9. Google Calendar a Google Meet integrácia
Služba umožňuje voliteľnú integráciu s Google Calendar a Google Meet na účely plánovania a realizácie online stretnutí. Pri aktivácii integrácie Služba ukladá OAuth prístupové tokeny prepojené s Google účtom fyzioterapeuta a zdieľa s Google meno pacienta, dátum a čas stretnutia a e-mailovú adresu; do kalendárnej udalosti sa môžu preniesť aj poznámky zo sedenia, ak ich fyzioterapeut do plánovania zahrnie. Integrácia je dobrovoľná a fyzioterapeut ju aktivuje vlastným rozhodnutím; spracúvanie údajov spoločnosťou Google sa riadi jej vlastnými podmienkami ochrany súkromia.
10. Zdieľanie údajov a sprostredkovatelia
Poskytovateľ pri zabezpečovaní prevádzky Služby využíva ďalších sprostredkovateľov (subdodávateľov), najmä v oblasti databázových, hostingových, e-mailových a monitorovacích služieb; ich aktuálny zoznam poskytne Poskytovateľ fyzioterapeutovi na základe písomnej žiadosti. Osobné údaje sú zdieľané s tretími stranami výhradne v rozsahu nevyhnutnom na poskytovanie Služby a na základe písomnej zmluvy zabezpečujúcej primeranú úroveň ochrany údajov; údaje nie sú predávané tretím stranám na marketingové účely.
11. Umiestnenie a prenos údajov
Údaje sú primárne uložené a spracúvané v rámci Európskeho hospodárskeho priestoru (EHP). Niektorí subdodávatelia (napríklad Sentry, Resend) majú sídlo v USA; prenos údajov do tretích krajín je zabezpečený prostredníctvom štandardných zmluvných doložiek (SCC) podľa čl. 46 ods. 2 písm. c) GDPR a § 48 ods. 2 písm. c) zákona č. 18/2018 Z. z. Poskytovateľ pravidelne prehodnocuje primerané záruky prenosu údajov do tretích krajín.
12. Uchovávanie údajov
Osobné údaje sú uchovávané po dobu nevyhnutnú na dosiahnutie účelu spracúvania: údaje aktívneho účtu po dobu trvania zmluvného vzťahu; údaje po zrušení účtu 30 dní (na umožnenie obnovy), následne vymazané; účtovné a daňové doklady 10 rokov podľa zákona č. 431/2002 Z. z. o účtovníctve; zdravotná dokumentácia podľa lehôt stanovených zákonom č. 576/2004 Z. z. o zdravotnej starostlivosti (20 rokov od posledného poskytnutia zdravotnej starostlivosti); technické logy maximálne 90 dní. Po uplynutí doby uchovávania sú údaje bezpečne vymazané alebo anonymizované.
13. Bezpečnosť
Poskytovateľ prijíma primerané technické a organizačné opatrenia na ochranu osobných údajov podľa čl. 32 GDPR a § 39 zákona č. 18/2018 Z. z., najmä: šifrovanie dát pri prenose pomocou protokolu TLS; šifrovanie osobných údajov pacientov v databáze (šifrovanie v pokoji) algoritmom AES-256-GCM — šifrujú sa identifikačné a kontaktné údaje pacienta (meno a priezvisko, dátum narodenia, adresa, telefónne číslo) aj jeho zdravotné a rehabilitačné údaje (diagnóza, poznámky v cvičebnom pláne a k stretnutiam) a rodné číslo, ktoré sa navyše overuje jednosmerným hashom; v čitateľnej podobe zostáva iba e-mailová adresa nevyhnutná na prihlásenie a vyhľadanie účtu; prístup na základe rolí (Role-Based Access Control); logovanie prístupov a bezpečnostných udalostí; pravidelné zálohovanie dát; hashované ukladanie hesiel; a pravidelné bezpečnostné aktualizácie infraštruktúry. Poskytovateľ uplatňuje zásadu ochrany údajov od návrhu a štandardne (data protection by design and by default) podľa čl. 25 GDPR a § 32 zákona č. 18/2018 Z. z. — bezpečnosť a minimalizácia údajov sú zohľadňované už pri návrhu nových funkcií Služby.
14. Monitorovanie a diagnostika chýb
Služba využíva nástroj Sentry na monitorovanie chýb a výkonu aplikácie; Sentry môže spracúvať informácie o chybe (stack trace), IP adresu, identifikátor používateľa, typ zariadenia a prehliadača a URL, na ktorej chyba nastala. Údaje v Sentry sú uchovávané maximálne 90 dní a slúžia výhradne na diagnostiku a opravu chýb. Zdravotné údaje pacientov nie sú zámerne odosielané do Sentry; v prípade neočakávanej chyby sa však minimálne kontextové údaje môžu zachytiť v rámci chybového hlásenia.
15. Cookies a lokálne úložisko
Služba využíva nevyhnutné cookies a lokálne úložisko prehliadača (localStorage) na zabezpečenie funkčnosti (autentifikácia, preferencie relácie); nevyhnutné cookies nevyžadujú súhlas podľa § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách. Služba v súčasnosti nepoužíva marketingové cookies; na meranie výkonu a analytiku návštevnosti webového rozhrania môžu byť využívané nástroje Vercel Analytics a Vercel Speed Insights, ktoré spracúvajú anonymizované technické údaje bez použitia cookies tretích strán. V prípade zavedenia analytických alebo marketingových cookies vyžadujúcich súhlas bude od Používateľa vopred vyžiadaný súhlas v súlade s § 109 ods. 8 zákona č. 452/2021 Z. z.
16. Práva dotknutých osôb
Dotknutá osoba má v súlade s čl. 15 – 22 GDPR a § 21 – 28 zákona č. 18/2018 Z. z. právo na prístup k údajom, právo na opravu, právo na výmaz („právo byť zabudnutý“), právo na obmedzenie spracúvania, právo na prenosnosť údajov, právo namietať proti spracúvaniu, právo nebyť predmetom automatizovaného individuálneho rozhodovania a právo kedykoľvek odvolať súhlas, ak je naň spracúvanie založené, bez toho aby to malo vplyv na zákonnosť predchádzajúceho spracúvania. Žiadosť o uplatnenie práv je možné podať na info@rehabot.sk; Poskytovateľ ju vybaví bez zbytočného odkladu, najneskôr do 30 dní. Ak sa žiadosť pacienta týka údajov, ktorých prevádzkovateľom je fyzioterapeut, Poskytovateľ ju postúpi príslušnému fyzioterapeutovi alebo naň dotknutú osobu odkáže.
17. Prenositeľnosť údajov
Dotknutá osoba má právo na prenosnosť údajov podľa čl. 20 GDPR a § 26 zákona č. 18/2018 Z. z. Služba v súčasnosti neposkytuje automatizovaný samoobslužný export údajov; export je možné vyžiadať na info@rehabot.sk a Poskytovateľ ho zabezpečí v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte.
18. Výmaz údajov
Dotknutá osoba má právo na výmaz údajov podľa čl. 17 GDPR a § 23 zákona č. 18/2018 Z. z., ak sú splnené zákonom stanovené podmienky. Žiadosť o výmaz je možné podať na info@rehabot.sk; Služba v súčasnosti neposkytuje samoobslužné tlačidlo na výmaz účtu. Výmaz bude realizovaný bez zbytočného odkladu, najneskôr do 30 dní, pokiaľ neexistuje zákonný dôvod na ďalšie uchovávanie údajov.
19. Dozorný orgán
Dotknutá osoba má právo podať sťažnosť dozornému orgánu podľa čl. 77 GDPR a § 100 zákona č. 18/2018 Z. z. Príslušným dozorným orgánom v Slovenskej republike je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, tel. +421 2 3231 3214, https://dataprotection.gov.sk.
20. Kontaktný formulár
Údaje zadané do kontaktného formulára na webe (meno, e-mail, text správy) sú spracúvané na účely vybavenia požiadavky; e-maily z kontaktného formulára sú odosielané prostredníctvom služby Resend, Inc. (sprostredkovateľ). Právnym základom je oprávnený záujem Poskytovateľa na komunikácii s používateľmi (čl. 6 ods. 1 písm. f) GDPR).
21. Deti a mladiství
Služba nie je určená pre osoby mladšie ako 16 rokov na samostatné používanie v zmysle § 15 zákona č. 18/2018 Z. z. Ak je pacientom osoba mladšia ako 16 rokov, fyzioterapeut je povinný zabezpečiť súhlas jej zákonného zástupcu so spracúvaním osobných údajov; Poskytovateľ vedome nespracúva osobné údaje detí mladších ako 16 rokov bez tohto súhlasu.
22. Zmeny dokumentu
Poskytovateľ si vyhradzuje právo kedykoľvek aktualizovať tieto Zásady. O podstatných zmenách bude Používateľov informovať prostredníctvom e-mailu alebo oznámenia v rámci Služby najmenej 30 dní pred nadobudnutím účinnosti zmeny. Aktuálne znenie Zásad je vždy dostupné na webovom sídle Služby.
23. Kontakt
Tomáš Solár, IČO: 57797480, sídlo 082 61 Ražňany, Surdok 67/3, e-mail info@rehabot.sk, web www.rehabot.sk.